Claude Platform Docs
АдминистрированиеАутентификация

Список разрешённых IP-адресов

Защитите свою организацию, ограничив доступ определёнными доверенными IP-адресами.

«IP allowlisting» (ограничение доступа по списку разрешённых IP-адресов) защищает вашу организацию, разрешая охватываемые запросы только из определённых диапазонов IP-адресов. Это означает, что в случае утечки ключа API злоумышленнику будет гораздо сложнее его использовать. Это может предотвратить утечки данных и снизить вероятность того, что вам будет выставлен счёт за злоупотребления.

«Allowlist» (список разрешённых адресов) ограничивает то, откуда работает ключ, но не то, как долго он действует. Вам также следует установить короткий срок действия ключа или перейти на Workload Identity Federation, чтобы отказаться от статических ключей. Это безопаснее, чем использование одного лишь списка разрешённых адресов.

Как это работает

Администратор или владелец организации настраивает список диапазонов IP-адресов в настройках. Этот список диапазонов охватывает всю вашу организацию. Для каждого охватываемого запроса Anthropic сравнивает публичный IP-адрес запроса с вашим списком и отклоняет запрос, если адрес не разрешён.

  • Запросы API к охватываемым эндпоинтам («endpoints», конечные точки) с адреса, не входящего в список, отклоняются. Например, Messages API возвращает ошибку 403 permission_error с сообщением Your IP address isn't in this organization's allowed range.
  • Пользователи, подключающиеся с неразрешённого адреса, видят страницу с заголовком Your current network can’t access this organization. Администраторы организации также блокируются, но вы можете при желании предоставить администраторам способ вернуть доступ, чтобы избежать блокировки; в этом случае они могут получить доступ только к настройкам списка разрешённых адресов.

Организации Claude Platform

Где применяется список разрешённых адресов

См. также раздел Ограничения.

Организации Claude Enterprise

У организации Claude Enterprise есть собственный список разрешённых IP-адресов, который разрешает доступ к приложениям, на которые он распространяется, только из определённых диапазонов IP-адресов. Это означает, что в случае кражи данных для входа пользователя злоумышленнику будет гораздо сложнее ими воспользоваться. Этот список охватывает всю вашу организацию, включая владельцев. Настроить его могут владельцы и основные владельцы. Прежде чем включить список разрешённых адресов, прочитайте раздел Как не заблокировать себе доступ.

Приложения, на которые распространяется список разрешённых адресов

Пользователи вне списка теряют доступ к вашей организации в следующих приложениях:

  • Claude в браузере, настольные приложения и мобильные приложения
  • Claude Code, когда пользователи входят со своей учётной записью Claude
  • Claude in Chrome, надстройки Office, Cowork и Remote Tools

Сюда входят коннекторы и Artifacts в этих приложениях, за исключением Artifacts, которыми пользователь поделился за пределами организации. Сведения о Claude Science см. в разделе Identity and access в элементах управления администратора Claude Science.

Список разрешённых адресов также охватывает Admin API и Compliance API при использовании ключа, который охватывает только эту организацию.

См. также раздел Ограничения.

Чего ожидать пользователям

В веб-версии и в настольных приложениях заблокированные пользователи видят страницу с заголовком Your current network can’t access this organization. Владельцы также блокируются, но вы можете при желании предоставить владельцам способ вернуть доступ, чтобы избежать блокировки; в этом случае они могут получить доступ только к настройкам списка разрешённых адресов. В Claude Code заблокированные пользователи видят ошибку API 403 с сообщением Your IP address isn't in this organization's allowed range.

  • Другие учётные записи: заблокированные пользователи по-прежнему могут входить в систему и использовать другие организации или личную учётную запись.
  • Удалённые пользователи: телефоны в мобильной сети, домашний Wi-Fi и ноутбуки без подключения к VPN блокируются, пока они не подключатся через сеть из списка.
  • Прокси: некоторые функции подключаются через bridge.claudeusercontent.com: Claude in Chrome, Cowork, Remote Tools и работа в нескольких приложениях в надстройках Office. Если ваш прокси отправляет трафик к этому хосту через адрес, отличный от адреса для claude.ai и api.anthropic.com, добавьте в список и этот адрес.

Ограничения

  • Claude Platform: список разрешённых адресов охватывает запросы к эндпоинтам Claude Managed Agents, а не самих агентов. Он не применяется ни к какому сетевому взаимодействию в среде выполнения Claude Managed Agents. Список разрешённых адресов не применяется к Claude в Amazon Bedrock, Claude Platform on AWS, Claude Models on Google Cloud и Claude в Microsoft Foundry.
  • Claude Enterprise: Claude Design, Claude in Slack и Claude Academy не охватываются. Если Claude выполняет задачу в чате в момент блокировки пользователя, задача может продолжаться до 24 часов. Пользователь не может открыть этот чат или управлять им из-за пределов списка.

Включение списка разрешённых адресов

  1. Включите переключатель

    Перейдите на страницу настроек вашей организации:

    Включите переключатель IP allowlist. Ничего не изменится, пока вы не сохраните настройки.

  2. Добавьте диапазоны и сохраните

    Нажмите Add entry (Claude Console) или Add IP range (claude.ai), введите один или несколько адресов или диапазонов через запятую и нажмите Enter. Укажите каждую сеть, из которой подключаются ваши серверы, CI и пользователи, включая ту, из которой вы подключаетесь. Anthropic рекомендует убедиться, что установлен флажок Allow admins to access this settings page from any IP address (Claude Console) или Allow owners to access this settings page from any IP address (claude.ai), чтобы избежать блокировки. Затем нажмите Save и подтвердите.

  3. Проверьте трафик

    Применение изменений может занять до 15 минут. Следите за ответами 403 permission_error в ваших приложениях, включая задания, которые запускаются только ежедневно или еженедельно, и добавьте все пропущенные адреса. В организации Claude Enterprise попросите пользователей в каждой сети подтвердить, что они по-прежнему могут открыть Claude. Там применение изменений к уже открытым подключениям, надстройкам Office и Remote Tools может занять больше времени.

Формат записей

  • Формат: вы можете добавлять в список разрешённых адреса IPv4 или IPv6. Каждая запись может быть отдельным адресом (203.0.113.5) или диапазоном CIDR (203.0.113.0/24, 2001:db8::/32) не шире /8 для IPv4 или /32 для IPv6. Список может содержать до 1 000 записей.
  • Только публичные адреса: указывайте адреса, с которых ваш трафик выходит из вашей сети, а не частные диапазоны, такие как 10.0.0.0/8. Если вы добавите адрес общего прокси, учтите, что злоумышленник, получивший утёкший ключ или украденные данные для входа, потенциально может воспользоваться ими через этот прокси.

Как не заблокировать себе доступ

При сохранении страница настроек проверяет ваш текущий адрес по списку, чтобы убедиться, что вы не собираетесь заблокировать себе доступ. Но она не проверяет ваши серверы, ваших коллег или адрес, с которого вы можете подключиться завтра.

  • Сначала обязательно перечислите все сети: включите центры обработки данных, системы CI, офисы, VPN, прокси и воркеры любых самостоятельно размещаемых песочниц вместе с их публичными адресами IPv4 и IPv6. Учтите, что домашние и мобильные адреса часто могут меняться без предупреждения.
  • Сохраните способ вернуть доступ: Anthropic рекомендует установить флажок Allow admins to access this settings page from any IP address (Claude Console) или Allow owners to access this settings page from any IP address (claude.ai). Тогда администратор (владелец в claude.ai) может исправить список откуда угодно. Недостаток в том, что злоумышленник, скомпрометировавший сессию администратора или владельца, может изменить список разрешённых адресов удалённо. Если вы настроите Compliance API для своей организации, его Activity Feed будет записывать изменения списка разрешённых адресов, чтобы вы могли их проверить.

Если вы заблокировали себе доступ

В организации Claude Enterprise администраторы не могут изменять список, поэтому под «администратором или владельцем» в этих шагах понимается владелец или основной владелец.

  1. Переподключитесь из сети из списка: подключитесь к офисной сети или VPN, а затем нажмите Try again. Если кнопки Try again нет, перезагрузите страницу.
  2. Попросите другого администратора или владельца: администратор или владелец, находящийся в сети из списка, может добавить ваш адрес.
  3. Исправьте список с того места, где вы находитесь: если вы администратор или владелец и установлен флажок, описанный в пункте Сохраните способ вернуть доступ, откройте Claude Console или Claude в браузере и нажмите Open IP allowlist или перейдите на страницу Identity and access (Organization and access в claude.ai). Нажмите Add it, чтобы добавить ваш текущий адрес, или отключите список разрешённых адресов, а затем нажмите Save и подтвердите. Восстановление доступа может занять до 15 минут.
  4. Свяжитесь с Anthropic: если ни один администратор или владелец не может открыть эту страницу, попросите службу поддержки Anthropic отключить список разрешённых адресов.

Эта страница была полезной?